2018 是人類歷史上資料外洩最嚴重的一年，據星盾科技資料指出，截至 2018 年 9 月為止，全球遭外洩個資已高達 17 億筆，大型資料外洩造成的損失金額約是台幣 1.2 億起跳，而全球每秒都至少有 900 筆資料正在外洩中。「根據我們的觀察，造成個資外洩的手法以帳密填充、帳密竊取以及網路釣魚大宗。除此之外，針對路由器漏洞的攻擊、跨平台惡意程式攻擊、 API 濫用，以及假冒行動應用程式也助長個資外洩。」星盾科技創辦人暨 CTO 林育民表示。

趨勢科技在 2018 年發布的「2019 資安報告」中也提到，釣魚軟體的危害，將在 2019 年變得更為嚴重，截至 2018 年第三季， 趨勢科技Smart Protection Network 已阻擋超過 2 億多筆網路釣魚相關的 URL，相較於 2017 年成長接近三倍；預期 2019 年會再創高點。

而《TechOrange》在 2019 年一月時，赴泰國參與以色列資安大廠 Check Point 年度峰會 CPX 360，在會中 Check Point 也不斷強調未來資安將會迎來比過往更為嚴峻的態勢。

由此可見，2019 年世界將面臨全新的資安環境，挖礦病毒的興起、釣魚網站的氾濫，如何應對將成為企業上半年資安部署的重點方向。

美國國際數據集團 IDG 旗下的網站 CSO from IDG，提出了幾個關於 2019 年資安環境的預測，《TechOrange》在此進行資訊整理。

駭客由勒索軟體逐漸轉向挖礦病毒，同時網路釣魚也會變得更為「個人化」

隨著犯罪分子轉向其他方式以產生收入，勒索軟體將逐漸減少。據 Kaspersky 報吿，2017 年至 2018 年間遭遇勒索軟體攻擊的用戶，相較 2016 年至 2017 年期間下降了近 30％。不過勒索軟體仍然是極大的威脅，它將成為一種更集中、更具針對性的攻擊。

下降原因不外乎是尋求更有效的獲利途徑，首先是隨機攻擊下降，轉向重大針對性目標。以勒索軟體集團為例。在 2018 年期間，SamSam 針對 67 個不同組織的攻擊證據，其中醫療保健是受影響最大的行業，佔 2018 年勒索攻擊的 24％。相較過去隨機式的勒索，專家認為美國醫療保健系統容易中毒，且更有可能支付贖金。

另一下降因素是，犯罪分子發現了挖礦病毒，與其他更快速的賺錢方式。現成加密工具的數量和質量，讓駭客不需要技術熟練也能輕易獲利。根據 Kaspersky 報告，2018 年中經歷過密碼攻擊的用戶數量增加了 44.5％。而這種現象將在 2019 年繼續擴散，惡意軟體作者利用它們來破壞你的網路業務。

但並不表示個人化的攻擊可以鬆一口氣，相反地，駭客入侵電子郵件系統潛伏和學習，攻擊者將蒐集更多關於你的資訊，發動假以亂真的「個人化」釣魚郵件。他們使用他們學到的訊息，並利用定期溝通聯絡人之間的信任，發動針對性攻擊。

「數據保護政策」將會誕生

2018 年 5 月 25 日正式上路的歐盟個資保護新法（GDPR）在去年已影響了 Google 與 Facebook 等大宗網路數據公司。公司如何使用和保護個人信息的擔憂並沒有在 GDPR 誕生後減少，反而日益增加，這將鼓勵許多美國用戶要求這些公司負責。

自從 GDPR 施行之後，若是企業發生個人資料外洩事件，將面臨歐盟針對企業開罰最高 2000 萬歐元（約為台幣 7.09 億元）的罰鍰。相較之下，勒索攻擊的駭客大多要求無法追蹤的加密貨幣，支付約 30,500 到 61 萬台幣價值不等的贖金。與其被 GDPR 罰得傾家蕩產，許多受到攻擊的企業最後都會選擇支付贖金，息事寧人。

CSO 預計美國將於 2019 年，制訂類似於 GDPR 的隱私法。加州消費者隱私法已經通過並於 2020 年生效。2018 年 11 月，參議員 Ron Wyden 介紹了一項名為消費者數據保護的法案（CDPA），對侵犯隱私權的行為進行嚴厲處罰，甚至包括入獄。

政治性的攻擊將會增加，各國將對此制定網路戰規則

網路政治攻擊可能是內戰也可能是國家級戰爭，在實體戰爭中，大多數國家都已達成一套基本規則，例如不實施酷刑、禁止毒氣、禁止屠殺平民等，但在網路世界可沒有這些規則。

對持不同政見者、政客、記者等針對性網絡攻擊將繼續增長，而政府可能睜一隻眼閉一隻眼。

這種國家監督公民的手法出現在沙烏地阿拉伯的記者 Jamal Khashoggi 身上。以色列報紙 The Haaretz 報導，沙烏地阿拉伯政府使用以色列的網絡武器，追蹤逃亡加拿大的 Khashoggi。

對他國的網路抵制，例如北韓封鎖索尼影視、俄羅斯抨擊工業關鍵控制系統並試圖影響其他國家的選舉、中國竊取了知識產權、美國和以色列使用惡意軟件摧毀核設備等。 這些國家級的網路攻擊顯示數位國界正在瓦解，CSO 預計很快就會有一個數字戰日內瓦公約。

CSO 認為一些國家將繼續在網路戰中突破界限，「網絡攻擊者將繼續在俄羅斯、中國和北韓擁有避風港，他們將擁有比以往更多的資源，無論是來自他們的政府支持者，還是來自今年勒索軟體和加密攻擊的意外收穫。」他們將使用這些資源來找新的攻擊目標，並提高其惡意軟體的彈性和適應性。

多因素身份驗證將會成為「標配」

雖然「多因素身份驗證」還並非一個完美的解決方案，但大多數網站和線上服務預計將放棄僅限密碼登入，並提供其他必需或可選的身份驗證方法。

只使用密碼進行身份驗證，將讓社會深陷網絡釣魚和其他攻擊危機。但是所有供應商都在實施不同系統進行身份驗證，會使用戶感到困惑，將低使用者體驗成效。也 因此，多重身份驗證將發展更為標準化的規格。

（以上資料擷取自科技報橘）
【本訊息文字圖片未經原提供單位許可，不得任意轉載及連結，如有需求，請洽原資料提供單位。】